EU AI Act für KMU: Was seit August 2026 gilt

Was der EU AI Act ist

Der EU AI Act ist die Verordnung (EU) 2024/1689, die KI-Verordnung der EU. Sie wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und ist am 1. August 2024 in Kraft getreten. Die Verordnung folgt einem risikobasierten Ansatz mit vier Stufen: unannehmbares (verbotenes) Risiko, hohes Risiko, begrenztes Risiko mit Transparenzpflichten und minimales Risiko. Seit dem 27. Juli 2026 gilt sie in der Fassung, die der Digitale Omnibus zur KI (Verordnung (EU) 2026/1744) geändert hat.

Die Zeitleiste: Was wann gilt

• 1. August 2024: Die Verordnung tritt in Kraft.
• 2. Februar 2025: Die verbotenen KI-Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) gelten.
• 2. August 2025: Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), die Governance-Regeln und die Sanktionsvorschriften gelten.
• 27. Juli 2026: Der Digitale Omnibus zur KI tritt in Kraft. Unter anderem gilt Art. 4 seitdem in einer abgeschwächten Fassung.
• 2. August 2026: Die Verordnung gilt allgemein, darunter die Transparenzpflichten nach Art. 50 (Chatbots, KI-generierte Inhalte, Deepfakes). Seitdem überwachen auch die nationalen Behörden die Einhaltung.
• 2. Dezember 2026: Anbieter generativer KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, müssen die maschinenlesbare Markierung nach Art. 50 Abs. 2 umgesetzt haben. Zugleich gelten zwei neue Verbote in Art. 5.
• 2. Dezember 2027: Die Hochrisiko-Pflichten für Systeme nach Anhang III gelten (durch den Digitalen Omnibus verschoben, ursprünglich 2. August 2026).
• 2. August 2028: Die Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I gelten (ursprünglich 2. August 2027).

Digitaler Omnibus: Was sich 2026 geändert hat

Die EU hat den AI Act entschärft, bevor seine strengsten Pflichten überhaupt griffen. Die Kommission legte den Vorschlag am 19. November 2025 vor, am 7. Mai 2026 einigten sich Rat und Parlament politisch, am 16. Juni 2026 stimmte das Parlament zu und am 29. Juni 2026 der Rat. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 erschien am 24. Juli 2026 im Amtsblatt und ist am 27. Juli 2026 in Kraft getreten. Der Kern: Die Hochrisiko-Pflichten kommen deutlich später, die übrigen Fristen bleiben.

• Hochrisiko-Systeme nach Anhang III (z. B. bestimmte Anwendungen in Personalwesen oder Kreditvergabe): Die Pflichten gelten statt ab dem 2. August 2026 erst ab dem 2. Dezember 2027.
• KI als Sicherheitskomponente regulierter Produkte nach Anhang I: statt ab dem 2. August 2027 erst ab dem 2. August 2028.
• KI-Kompetenz (Art. 4): Statt ein ausreichendes Maß an KI-Kompetenz sicherzustellen, müssen Anbieter und Betreiber jetzt Maßnahmen ergreifen, um deren Aufbau zu unterstützen. Ein bestimmtes Niveau einzelner Personen müssen sie ausdrücklich nicht garantieren; Kommission und Mitgliedstaaten sollen gerade KMU dabei unterstützen.
• Neue Verbote ab dem 2. Dezember 2026: KI-Systeme, die realistische intime Darstellungen identifizierbarer Personen ohne deren ausdrückliche Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren.
• Nicht verschoben: die Transparenzpflichten nach Art. 50. Sie gelten seit dem 2. August 2026; nur Anbieter generativer Systeme, die schon vorher auf dem Markt waren, haben für die maschinenlesbare Markierung bis zum 2. Dezember 2026 Zeit.
• Entlastungen für KMU und neu für kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps): vereinfachte technische Dokumentation und verhältnismäßiges Qualitätsmanagement für Anbieter von Hochrisiko-Systemen sowie vorrangiger Zugang zu KI-Reallaboren.

Was das für KMU bedeutet, die KI nur nutzen

Die meisten kleinen und mittleren Unternehmen sind Betreiber, nicht Anbieter. Sie setzen fertige KI-Werkzeuge ein, statt eigene KI-Systeme zu entwickeln und in Verkehr zu bringen. Das reduziert die Pflichten deutlich, befreit aber nicht von allem.

• KI-Kompetenz (Art. 4): Auch Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, zu fördern, abgestimmt auf Vorwissen und Einsatzkontext. Ein Zertifikat ist laut den Fragen und Antworten der EU-Kommission nicht nötig; Schulungen und Hinweise lassen sich intern dokumentieren. Die Pflicht gilt seit dem 2. Februar 2025, seit dem 27. Juli 2026 in dieser Fassung.
• Verbotene Praktiken (Art. 5): Bestimmte Einsatzformen sind generell untersagt, etwa manipulatives oder bestimmtes biometrisches Vorgehen. Ab dem 2. Dezember 2026 kommen die beiden neuen Verbote hinzu.
• Transparenz (Art. 50): Wer einen eigenen Chatbot anbietet oder Deepfakes und KI-Texte veröffentlicht, hat Informations- und Kennzeichnungspflichten (siehe unten).
• Hochrisiko-Einsatz: Nutzen Sie ein KI-System in einem Hochrisiko-Bereich (z. B. bestimmte Anwendungen im Personalwesen nach Anhang III), kommen ab dem 2. Dezember 2027 die Betreiberpflichten nach Art. 26 hinzu: Nutzung gemäß Betriebsanleitung, menschliche Aufsicht durch kompetente Personen, Kontrolle der Eingabedaten, soweit Sie diese steuern, Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate und vorherige Information der betroffenen Beschäftigten und ihrer Vertretung.

Wann Sie vom Nutzer zum Anbieter werden

Vorsicht: Anbieter ist nach Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Das kann schon ein eigener Chatbot auf Basis eines fremden Sprachmodells sein, etwa für die Hinweispflicht nach Art. 50 Abs. 1. Bei Hochrisiko-Systemen regelt Art. 25 zusätzlich, wann Betreiber zu Anbietern mit deutlich weitergehenden Pflichten werden: wenn sie ein Hochrisiko-System unter eigenem Namen oder eigener Marke anbieten, es wesentlich verändern oder die Zweckbestimmung eines Systems so ändern, dass es zum Hochrisiko-System wird. Wer ein KI-Produkt unter eigener Marke anbietet, sollte das früh prüfen.

Transparenz: Chatbots und KI-Inhalte kennzeichnen (Art. 50)

• Chatbots (Art. 50 Abs. 1): Menschen müssen erfahren, dass sie mit einem KI-System interagieren. Das gilt nicht, wenn es für eine angemessen informierte, aufmerksame und verständige Person aus den Umständen ohnehin offensichtlich ist. Die Pflicht trifft den Anbieter des Systems.
• Maschinenlesbare Markierung (Art. 50 Abs. 2): Anbieter generativer KI-Systeme müssen erzeugte Audio-, Bild-, Video- und Textinhalte maschinenlesbar als künstlich erzeugt oder verändert markieren. Das betrifft vor allem die Hersteller der Werkzeuge, nicht die Nutzer.
• Deepfakes und Texte zu öffentlichen Angelegenheiten (Art. 50 Abs. 4): Betreiber, also auch Sie als Nutzer, müssen offenlegen, dass Deepfakes künstlich erzeugt oder verändert wurden. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein Hinweis, der den Genuss nicht stört. KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind zu kennzeichnen, außer ein Mensch hat sie geprüft und jemand trägt die redaktionelle Verantwortung.
• Die Information muss spätestens bei der ersten Interaktion oder Konfrontation klar und unterscheidbar bereitstehen und die Barrierefreiheitsanforderungen erfüllen (Art. 50 Abs. 5).

Aufsicht in Deutschland und Bußgelder

In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) in Kraft. Es bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die KI-Verordnung; für einzelne Bereiche bleiben andere Stellen zuständig, etwa die BaFin für KI bei beaufsichtigten Finanzunternehmen. Die Bundesnetzagentur bietet mit ihrem KI-Service-Desk Informationen und ein Online-Werkzeug zur Risikoeinstufung an, ausdrücklich auch für KMU. Die Bußgeldrahmen legt die KI-Verordnung selbst fest (Art. 99):

• Verbotene Praktiken: bis zu 35 Mio. EUR oder 7 Prozent des weltweiten Jahresumsatzes.
• Verstöße gegen andere Pflichten, etwa als Betreiber oder nach Art. 50: bis zu 15 Mio. EUR oder 3 Prozent.
• Falsche, unvollständige oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Mio. EUR oder 1 Prozent.
• Grundsätzlich gilt der höhere der beiden Werte, für KMU einschließlich Start-ups der niedrigere. Seit dem Digitalen Omnibus gilt der niedrigere Wert auch für Small Mid-Caps, außer bei verbotenen Praktiken. Bei der Bemessung sind die Interessen und die wirtschaftliche Lage von KMU zu berücksichtigen.

Der zweite Hebel: die DSGVO

Der AI Act ersetzt die DSGVO nicht, beide gelten parallel. Sobald Ihre KI personenbezogene Daten verarbeitet, kommt der Datenschutz ins Spiel. Die DSGVO selbst gilt unverändert: Die Änderungen, die die Kommission im November 2025 in einem separaten Digital-Omnibus-Paket auch für KI vorgeschlagen hat, sind Stand September 2026 noch nicht beschlossen. Drei Punkte sind in der Praxis am wichtigsten:

• Automatisierte Entscheidungen (Art. 22 DSGVO): Eine Person hat das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Der Europäische Gerichtshof versteht das als grundsätzliches Verbot, mit Ausnahmen (Vertrag, gesetzliche Erlaubnis, ausdrückliche Einwilligung) und Schutzmaßnahmen wie dem Recht auf menschliches Eingreifen. Praktisch heißt das: Bei folgenreichen Entscheidungen bleibt ein Mensch in der Schleife.
• Auftragsverarbeitung (Art. 28 DSGVO): Wenn ein externer Dienst (etwa ein LLM-Anbieter) personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag mit den gesetzlichen Mindestinhalten.
• Drittlandtransfer (Art. 44 ff. DSGVO): Gehen Daten in die USA, braucht es eine Rechtsgrundlage. Für nach dem EU-US Data Privacy Framework zertifizierte US-Anbieter besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss; bei nicht zertifizierten Anbietern sind in der Regel EU-Standardvertragsklauseln plus ergänzende Maßnahmen nötig.

Wie Sie diese DSGVO-Hausaufgaben praktisch umsetzen, von der Tarifwahl über den AVV bis zur KI-Richtlinie fürs Team, zeigt Schritt für Schritt der Leitfaden ChatGPT und Co. DSGVO-konform nutzen.

Praktische Schritte für KMU

• Verschaffen Sie sich einen Überblick, welche KI bei Ihnen tatsächlich im Einsatz ist, auch versteckt in bestehenden Tools.
• Sorgen Sie für KI-Kompetenz im Team: kurze, auf die genutzten Werkzeuge zugeschnittene Schulungen und klare Hinweise, intern festgehalten. Das verlangt Art. 4 und zahlt sich ohnehin aus.
• Prüfen Sie Chatbots und veröffentlichte KI-Inhalte auf die Informations- und Kennzeichnungspflichten nach Art. 50, die seit dem 2. August 2026 gelten.
• Schließen Sie mit KI-Dienstleistern einen Auftragsverarbeitungsvertrag, wo personenbezogene Daten im Spiel sind.
• Prüfen Sie bei sensiblen Daten EU-Hosting oder lokal betriebene Modelle.
• Halten Sie bei Entscheidungen mit Folgen einen Menschen in der Schleife.

Genau hier setze ich im Rahmen der KI-Automatisierung an: Ich integriere KI dort, wo sie einen konkreten Nutzen bringt, und kläre mit Ihnen vorab Zweck, Risiko sowie Transparenz- und Kennzeichnungspflichten. Die technische Umsetzung übernehme ich, die rechtliche Bewertung bleibt bei Ihnen. Sprachmodelle wahlweise EU-gehostet oder lokal, Antworten mit Quellenbezug aus Ihrer eigenen Wissensbasis und Sie an den Entscheidungspunkten.